Notification de violation : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
La notification de violation est la déclaration qu'un responsable de traitement doit adresser à la CNIL, dans les 72 heures, lorsqu'une violation de données personnelles présente un risque pour les droits et libertés des personnes.
Ce qu'il faut comprendre
Le délai de 72 heures court à partir du moment où l'organisme a pris connaissance de la violation, pas à partir de l'incident lui-même. La notification se fait en ligne sur le site de la CNIL. Si toutes les informations ne sont pas encore connues, une notification initiale peut être complétée ensuite. Un retard doit être justifié.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées. Elle indique aussi le contact du DPO ou d'un autre interlocuteur. Même lorsque la notification n'est pas requise, faute de risque, l'organisme doit pouvoir expliquer, dans son registre interne, pourquoi il a estimé qu'elle ne l'était pas.
Il ne faut pas la confondre avec la communication aux personnes concernées. Cette seconde obligation ne s'applique qu'en cas de risque élevé, sauf exceptions, par exemple si les données étaient chiffrées et donc inintelligibles. Le sous-traitant, lui, ne notifie pas la CNIL : il doit alerter le responsable de traitement dans les meilleurs délais.
Exemple concret
Le logiciel d'état civil d'une mairie est victime d'un rançongiciel un vendredi soir. L'éditeur, sous-traitant, prévient la commune le samedi matin. Le délai de 72 heures court à partir de ce moment. Le secrétaire de mairie, avec le DPO, dépose une notification initiale le lundi, puis la complète quand l'éditeur précise quelles données ont été exfiltrées.
Textes de référence
- RGPD, art. 33
- RGPD, art. 34
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
